L’objectiu d’aquesta Política és establir les directrius que tots els nivells de l’entitat hauran de seguir en matèria de Protecció de Dades de caràcter personal.
Aquesta Política conté una descripció dels elements clau, tant humans com organitzatius, tecnològics i documentals, que la l’AJUNTAMENT DE MAÇANET DE LA SELVA aplica per protegir les dades de caràcter personal, evitant que es produeixin vulneracions dels drets i llibertats dels interessats.
En tots els nivells de l’entitat es vetllarà per l’aplicació real i efectiva de les directrius establertes en aquesta Política en matèria de protecció de dades, de manera que aquest sistema d’autoregulació aconsegueixi l’eliminació de comportaments que poguessin posar en risc les dades personals tractades per l’entitat.
Aquesta Política està adaptada a la normativa següent:
Es faran les adaptacions necessàries d’aquesta Política en funció dels canvis legislatius que es produeixin, així com als criteris establerts en:
Les sentències de l’Audiència Nacional, el Tribunal Suprem i el Tribunal Constitucional.
L’especial naturalesa de les dades personals, la complexitat de la normativa aplicable i la quantia de les sancions establertes en ella generen riscos com l’accés no autoritzat, la còpia no autoritzada, la comunicació o la cessió a tercers i altres infraccions previstes en el RGPD i la normativa local.
Els riscos derivats de l’incompliment de les obligacions legals establertes en matèria de protecció de dades són els següents:
La protecció de les dades personals és un dels valors de l’Ajuntament de Maçanet i és un objectiu prioritari de l’entitat que exigeix una sèrie de mesures jurídiques, tècniques i organitzatives, que es resumeixen en aquesta Política i es detallen en les seves normes i procediments propis.
Els objectius de L’Ajuntament de Maçanet en matèria de protecció de dades estan alineats amb la resta d’administracions públiques, donant prioritat al compliment de les obligacions legals que siguin aplicables a l’activitat municipal.
Es considerarà un objectiu prioritari de la protecció de dades el compliment del Reglament General de Protecció de Dades de la Unió Europea i la Llei Orgànica de Protecció de Dades Personals i garantia dels drets digitals.
En tots els nivells de l’Ajuntament de Maçanet existirà el compromís de complir els objectius fixats en matèria de protecció de dades i els principis i obligacions establerts en aquesta Política.
L’Ajuntament de Maçanet podrà elaborar normes i procediments que desenvolupin, concretin i detallin de la present política.
L’estratègia de l’Ajuntament de Maçanet en matèria de protecció de dades complirà els principis que es descriuen a continuació:
Tots els rols i responsabilitats estaran diferenciats i, en la mesura del possible, seran assignats de manera individualitzada en la descripció del lloc de treball. A més d’aquesta assignació individualitzada, totes les persones que pertanyin a l’Ajuntament de Maçanet, fos quin fos el seu nivell, estaran obligades a complir les normes, procediments i controls establerts en matèria de seguretat de la informació.
La màxima responsabilitat del control en matèria de protecció de dades correspondrà a Direcció.
L’Ajuntament de Maçanet disposa de normes i procediments on s’estableixen les obligacions del personal en matèria de protecció de dades.
L’Ajuntament de Maçanet adoptarà les mesures necessàries perquè el personal conegui de manera comprensible les obligacions en matèria de protecció de dades que afectin el desenvolupament de les seves funcions, així com les conseqüències del seu incompliment.
L’Ajuntament de Maçanet nomenarà un Delegat de Protecció de Dades (DPD), la funció del qual serà supervisar el compliment de les normatives de protecció de dades dins de la nostra organització. El DPD actua com a punt de contacte per a totes les qüestions relacionades amb el tractament de dades personals i garanteix que s’implementin les mesures adequades per protegir la privacitat de les dades. A més, el DPD s’encarregarà de realitzar auditories periòdiques, assessorament al personal, i col·laborar amb les autoritats de control en cas d’incidents de seguretat o consultes. Tots els nivells de l’Ajuntament de Maçanet cooperaran amb el DPD per assegurar el compliment de les directrius establertes en aquesta política.
L’Ajuntament de Maçanet disposarà d’un registre de tractaments en el qual els detalls dels tractaments autoritzats com a Responsable del Tractament; així com un altre registre dels tractaments realitzats com a Encarregat del Tractament.
D’acord amb el principi de privacitat des del disseny i per defecte, i atesa la impossibilitat que els òrgans de control coneguin totes i cadascuna de les activitats relacionades amb dades personals que es duen a terme en cada departament, cada nou tractament o cada tractament que modifiqui els atributs i característiques assignats al mateix en el registre de tractaments, haurà de ser comunicat al Comitè de Protecció de Dades per tal que ho avaluï i ho autoritzi en el cas que no suposi un risc per als drets i llibertats dels interessats.
Així mateix, l’Ajuntament de Maçanet informarà del tractament de les dades personals a tots els interessats a través de les clàusules informatives i de consentiment de conformitat amb l’article 13 i 14 RGPD.
Tots els tractaments subjectes a aquesta Política de Seguretat hauran de passar per una anàlisi de risc, avaluant les amenaces i els riscos als quals estan exposats. Aquesta anàlisi es repetirà periòdicament.
L’Ajuntament de Maçanet realitzarà periòdicament una anàlisi dels riscos i amenaces que afectin la protecció de dades.
L’anàlisi de riscos es farà a través d’un mapa de riscos inherents, en el qual s’avaluïn els riscos bruts existents abans de l’aplicació dels controls de prevenció, detecció i mitigació, després de la qual cosa es farà un mapa de riscos residuals, en el qual s’avaluïn de forma automatitzada els riscos nets existents després de l’aplicació dels controls.
Per a la gestió i minimització de riscos l’Ajuntament de Maçanet aplicarà mesures de seguretat físiques, en el personal, administrativa i en la xarxa tals com:
La contrasenya sempre serà inintel·ligible fins i tot per a l’Administrador. En cas necessari (p.e., que l’usuari l’hagi oblidat), l’Administrador del Sistema podrà forçar un procés de canvi de contrasenya per part de la persona usuària sense necessitat de l’anterior.
Les persones usuàries seran informades puntualment de les mesures bàsiques per tal de prevenir l’entrada de virus i malware.
Per a tots els sistemes rellevants es definiran els estàndards de seguretat, que inclouran, almenys, la següent informació: periodicitat de les còpies de seguretat, períodes de retenció de les còpies, ubicació dels suports de seguretat, procediments de recuperació de la informació procediments de restauració i verificació de la integritat de la informació recolzada.
Aquelles persones usuàries que tinguin assignats dispositius mòbils corporatius hauran de complir les normes d’ús específiques, i aplicar les corresponents mesures de seguretat.
A més de les exigències legals en matèria de protecció de dades, l’Ajuntament de Maçanet estarà obligada també a complir els requisits específics de protecció de dades que li exigeixin els seus clients i proveïdors en relació a les dades de caràcter personal al que accedeixin en virtut de les seves relacions contractuals amb ells.
L’Ajuntament de Maçanet prestarà especial atenció a les obligacions contractuals de les quals es derivin tractament de dades personals.
L’Ajuntament de Maçanet elaborarà i mantindrà actualitzat un registre en el qual identificarà i prioritzarà les obligacions relacionades amb la protecció de les dades personals a què accedeixi o tracti.
L’Ajuntament de Maçanet comprovarà periòdicament que les obligacions contractuals assumides en matèria de protecció de dades siguin conegudes en tots els nivells de l’entitat.
L’Ajuntament de Maçanet elaborarà un registre de tots els proveïdors que tractin dades personals per compte de l’entitat o tinguin accés directe a dades personals gestionades per l’entitat.
En el cas que fos necessari contractar un nou servei que exigís tractament de dades, l’Ajuntament de Maçanet efectuarà una selecció de proveïdors i un procés d’avaluació tenint en compte les garanties exigides en la Llei en matèria de protecció de dades.
En aquesta avaluació es donarà prioritat als proveïdors que ofereixin majors garanties en matèria de protecció de dades.
La relació amb els proveïdors que tractin o que tinguin accés directe o indirecte a dades personals estarà regulada sempre en un contracte que inclourà una secció específica sobre les obligacions que haurà de complir el proveïdor. Aquestes obligacions inclouran, com a mínim, les establertes a l’article 28 del RGPD.
L’Ajuntament de Maçanet conservarà les dades personals de tal manera que es permeti la identificació dels interessats només durant el temps necessari per a les finalitats del tractament d’aquestes dades. Per això, l’ajuntament elaborarà i mantindrà actualitzada una taula en la qual establirà el termini de conservació de les dades que hagi o que consideri convenient conservar.
En l’elaboració d’aquesta taula es tindran en compte els terminis de prescripció de les infraccions i les limitacions que estableix el RGPD i Llei Orgànica de Protecció de Dades Personals i garantia dels drets digitals. També es tindrà en compte les obligacions legals, sectorials i contractuals que puguin exigir terminis superiors de conservació.
L’Ajuntament de Maçanet haurà de tenir en compte també els terminis indicats als interessats en el moment d’informar-los dels seus drets.
En relació a la destrucció de la documentació, s’haurà de realitzar de manera que es garanteixi la confidencialitat durant tot el seu procés.
Qualsevol situació que pugui comprometre la confidencialitat, integritat, disponibilitat, autenticitat o traçabilitat de la informació de l’ajuntament es considerarà una bretxa de seguretat.
Per això, l’ajuntament haurà d’establir les mesures oportunes en matèria de ciberseguretat, que inclouran la protecció davant amenaces que provinguin de les xarxes de comunicacions, com ara els ciberatacs, els atacs de denegació de serveis, els accessos no autoritzats i el segrest de sistemes o ransomware, entre d’altres.
Qualsevol persona que tingués coneixement o sospita d’algun incident que pogués afectar la protecció de les dades haurà de comunicar-ho immediatament a través dels canals establerts per a això.
En el supòsit que la bretxa o l’incident de seguretat poguessin suposar un risc per als drets i llibertats per a les persones físiques, s’haurà de notificar, com a molt tard 72 hores després que n’hi hagués constància, a l’Autoritat de Control competent, això és, l’Autoritat Catalana de Protecció de Dades.
L’Ajuntament de Maçanet disposa d’un protocol en el qual es defineix la sistemàtica seguida per l’entitat per a la notificació i la gestió d’incidents i vulnerabilitats de seguretat amb el propòsit d’assegurar que els incidents de seguretat i les debilitats associades amb els sistemes d’informació es registrin i es tractin convenientment, mitjançant les oportunes activitats de reparació i resolució, i de la restauració dels nivells normals de funcionament dels serveis afectats, podent adoptar accions correctores per eliminar-ne les causes i prevenir-los en un futur.
Tot el personal de l’Ajuntament de Maçanet té l’obligació de conèixer i complir la Política de Protecció de Dades. Per això, l’ajuntament promourà una activitat constant de formació i conscienciació en tots els nivells de l’ajuntament en matèria de protecció de dades.
La formació podrà basar-se en sessions presencials o en cursos d’e-Learning.
La conscienciació podrà basar-se en qualsevol tipus de materials i instruments de comunicació i formació que permetin conscienciar sobre els riscos d’infracció a tots els nivells de l’ajuntament.
Cada treballador serà responsable de complir amb aquesta política i els protocols que es derivin segons el seu lloc de treball, així com de notificar les incidències de seguretat que es detectin.
El principal objectiu de l’ajuntament amb aquesta Política i les seves normes, procediments i controls que la desenvolupen, és prevenir infraccions dels drets i llibertats dels interessats i complir amb la normativa de protecció de dades de caràcter personal.
El principal marc de referència que es tindrà en compte per complir aquest objectiu serà el RGPD, que estableix dos grups d’infraccions: les greus i les molt greus.
A les infraccions greus es podran aplicar sancions de fins a 10 milions d’euros o el 2% de la xifra de negoci anual global de l’ajuntament. En aquest grup s’inclourien, per exemple, mesures tècniques o organitzatives inadequades, contractació d’encarregats de tractament sense garanties suficients, manca de notificació d’una violació de dades, etc. A les infraccions molt greus es podran aplicar sancions de fins a 20 milions d’euros o el 4% de la xifra de negoci anual global de l’ajuntament. En aquesta categoria s’inclourien els casos de tractament il·lícit, consentiment il·lícit, vulneració del deure de confidencialitat, etc.
Aquesta Política serà actualitzada periòdicament per tal de reflectir els canvis i millores en matèria de protecció de dades. L’Ajuntament de Maçanet realitzarà una verificació periòdica de l’aplicació de les mesures de prevenció i control, i proposarà les oportunes modificacions que es requereixin en cas de detectar infraccions rellevants d’aquesta política, canvis significatius, o canvis en els sistemes d’informació de l’entitat.
